국가사이버보안 정책과

Think Tank의 역할

2016.07.11. SECUINSIDE

고려대학교 정보보호대학원(前 대통령 안보특별보좌관)

/ 252

미국은 중국, 북한, 이란 등으로 추정되는 일련의 사이버공격을 겪으면서사이버 공격을 국가 사이버안보의 중대한 위협으로 인식하고 대응 강화

•Operation Aurora

•Operation ShadyRat

•미 신문사 해킹

•미 인사관리처 해킹

2009 2012 2014

2011 2013 2015

•소니픽처스 해킹

•이란 미 은행

사이버공격

•미 우편시스템 해킹

오바마 정부 사이버보안 정책 평가 – 위협 사례

•뉴욕주 댐 해킹

/ 253

오바마 대통령은 사이버보안 조정관을 신설하며, NCCIC과 같은 실무대응체계를 마련하는 등 美 사이버안보 거버넌스 체계를 정립함

사이버보안조정관(Cybersecurity Coordinator)

국가기반시설자문위원회

(National Security Council)

대통령국가안보위원회

(National Security Council)

사이버보안국(Cybersecurity Directorate)

국방부 (DOD) 국무부 (DOS)국토안보부

(DHS)법무부 (DOJ) 상무부 (DOC)

사이버사령부 사이버보안국제전략

국가보호본부 FBI NIST

사이버보안 및 커뮤니케이션 부서CS&C

국가 사이버보안 및 통신통합센터NCCIC

자료 : 배병환 외, 정보통신방송정책, 재구성

오바마 정부 사이버보안 정책 평가 – 거버넌스 체계

/ 254

2015년 2월, 미 백악관이 발표한 ‘국가안보전략(National Security Strategy)’에 사이버위협 대응을 주요 과제로 식별하며 대응 전략 제시

국가안보전략 개요와 의의

미국가안보전략개요및의의

- 백악관이 5년마다 발간하는 보고서로, 오바마대통령의국가안보전략2.0이라평가할수있음

- 현 미국의 안보 기조를 ‘전략적 인내 (StrategicPatience)’라 표현

- 아프간, 이라크 중심의 전략에서 아시아중심이며, 극단주의와 테러, 사이버, 러시아,기후변화, 질병 등 새로운 보안 위협 대응으로 전환되는 과도기

-

사이버위협대응전략

- 사이버공간은 상공, 해상과 같이 새로운 세계가 공유하는 공간으로 사이버 위협 대응 필요

- 핵심기반시설 등을 위협하는 악의적 주체에대해 법·제도적으로 국제 협력 통해 대응할 것

오바마 정부 사이버보안 정책 평가 – 전략: 국가안보전략

/ 255

2015년 4월, DoD는 사이버 위협의 증가에 따라 대응 강화를 위해 기존전략에서 적극적으로 기조를 변경한 ‘The DoD Cyber Strategy’를 발표

US DoD Cyber Strategy 개요

2015년 4월, 미 DoD는 기존의 전략에서더욱 적극적인 기조로 변경된 사이버전략서 ‘The DoD Cyber Strategy’ 공개

2015년 오바마 정부의 두번째 국가안보전략(National Security Strategy) 기조와소니픽처스 해킹 등에 따라 전략 변화

미 국방부의 3가지 사이버 임무를 식별

1) 군 네트워크 방어

2) 중대 결과를 초래하는 사이버 공격으로부터미 영토와 미국 이익 보호

3) 군사 작전과 비상 계획 지원 위한 사이버전력 제공

오바마 정부 사이버보안 정책 평가 – 전략 : 국방사이버전략

/ 256

오바마 대통령은 ‘대통령행정지침 20호’ 통해 국방부를 비롯해 유관기관에게 미국의 사이버 작전과 사이버작전 수행 위한 기반 마련

오바마 정부 사이버보안 정책 평가 – 작전 : PPD-20

미 정부는 국가 이익을 해하는 사이버공격에대하여 국제법과 무력충돌법에 의거 합리적인 범위 내에서 다음 작전 수행 가능

· 공격적 사이버 효과 작전(OCEO)

· 방어적 사이버 효과 작전(DCEO)

OCEO, DCEO 위한 다음의 제반 사항 규정

· OECO, DECO 위한 정보수집

· OECO, DECO 위한 잠재적 타겟 식별

· 미 영토 내 DECO는 허용되지 않지만 특수상황에서 수행 가능

· 악의적 사이버 활동의 방지와 핵심 인프라보호 위해 민간과 함께 DCEO 수행 가능

· 긴급한 사이버 작전에 대해서는 해당기관장 허가에 따라 선조치 후 보고 가능

/ 257

공공-민간 사이버위협 정보공유 기반 마련을 위한 법안을 지속 추진했으며, 2015년 10월 CISPA법이 통과되어 정보공유 기반 마련

오바마 정부 사이버보안 정책 평가 – 법제 : CISPA 등

발표연도 법안명

2011년Homeland Security Center and Physical

Infrastructure Protection Act of 2011 (H.R.174) CISPA(H.R.3523)

PRECISE Act (H.R. 3674)

2012년

CSA 2012 (S. 3414)CISA

(S.2102)Cybersecurity Act of 2012 (S.2105)

SECURE IT (S.2151)/(H.R.4263)/(S.3342)

2013년National Cyber Security and Critical Infrastructure

Protection Act (H.R.3696) CISPA(H.R.624)

SECURE IT (H.R.1468)

2014년 - CISA(S.2588)

2015년

National Cybersecurity Protection Advancement Act (H.R.1731) CISA

(S.754)

CISPA(H.R.234)Protecting Cyber Networks Act (H.R.1560)

Cyber Threat Sharing Act of 2015 (S.456)

/ 258

CISPA 법 외에도 연방정부 보안 강화와 민간과의 협력 강화, 인력 양성과연구 개발 등을 위한 다양한 법제를 추진함

오바마 정부 사이버보안 정책 평가 – 법제 : 기타

• DHS 산하에 국가사이버안보·통신통합센터(NCCIC) 설치하며, 활동의 기반 마련

• 사이버위협 정보 공유 등을 위한 연방정부와 민간의 접점 역할 수행

National Cyber Security Protection Act of 2014

• 사이버위험 감소 표준 및 절차 수립을 위한 공공-민간 협력 체계 마련

• 사이버안보 관련 연구개발, 교육 및 인력 양성, 인식 제고 , 기술 표준 등 추진

Cybersecurity Enhancement Act of 2014

• 국토안보부의 사이버안보 인력의 역량을 평가할 수 있도록 기반 마련

• 사이버안보 인력 확보 전략, 역량 강화 방안 전략, 장학금 제도 등 추진

Cybersecurity Workforce Assessment Act of 2014

자료 : 국가보안기술연구소

/ 259

2016년 2월, 오바마 대통령은 ‘사이버보안 국가행동계획’을 발표했으며, 계획 실현을 위해 2017년도 사이버보안 분야 예산으로 190억 달러 요구

오바마 정부 사이버보안 정책 평가 – 예산

Cybersecurity National

Action Plan 개요

2016년 2월, 오바마대통령은 ‘사이버보안국가행동계획(Cybersecurity NationalAction Plan) 발표

다음과 같은 세부 계획 제시

- 정부의 노후 장비 교체를 위한 31억 달러 투자

- 정부 시스템 접근을 위한 인증체계 개선

- 연방 보안시스템인 EINSTEIN의 예방능력 강화

- 보안 전문인력 양성 위해 6,200만 달러 투자

이 행동계획 실현을 위해 2017년도 사이버보안 예산으로 전년도 대비 35% 증액된190억 달러를 요구함

/ 2510

미국은 사이버 무기개발과 국방 분야 사이버 기술 개발을 위해 국방부산하 DARPA의 정보혁신실(I2O)을 중심으로 관련 연구를 중점 추진중

오바마 정부의 사이버보안 정책 평가 –R&D : DARPA (1)

• 국방수권법에 명시된 기술정책 방향에 따라 대응기술 체계적 추진

• 인프라, 예방, 대비, 대응, 복구 등 사이버방어 단계별 R&D 계획 및 추진체계적 R&D계획 및 추진

• 기존 연구는 정보보증, 사이버 인프라 확보 등에 관한 연구에 집중

• 반면, 최근 연구는 PlanX 등 사이버전과 직접적 관련이 높은 분야로 변화사이버전과 직접적

관련성 증가

• 사이버작전에 활용되는 도구 외에도 작전 수행을 위한 기반 기술 확보 노력

• 사이버전장지도 마련, 사이버게놈 프로젝트, 사이버 훈련장 개발 등사이버전 지원인프라 개발

• 사이버 작전이 수행될 정보시스템 환경이 변화함에 따라 대응 기술 역시 변화

• 클라우드 컴퓨팅 환경, 스마트폰 환경 등 변화된 환경을 반영한 연구 수행새로운 군 인프라

환경 반영

• 기존 무기체계에 정보통신기술이 결합되는 융합무기체계 등장

• 드론 등 최첨단 융합무기 대상 사이버 위협 역시 대응하기 위한 프로그램 추진융합무기체계

보안 연구

• 악의적 내부자, 내부 취약점 등이 최근 가장 큰 사이버 위협요인으로 부각

• 이에 대한 대응을 위해 내부자 위협 탐지 및 대응을 위한 연구 프로그램 추진내부자 위협대응 강화

/ 2511

미국은 사이버 무기개발과 국방 분야 사이버 기술 개발을 위해 국방부산하 DARPA의 정보혁신실(I2O)을 중심으로 관련 연구를 중점 추진중

• 사이버 위협 사전적 예방을 위해 취약점 최소화를 통한 근본적 위협요인 제거

• 이를 위해 보안설계, 공급사슬보안, 보안검증 등에 집중취약점 최소화

• 복잡성, 연결성 등이 특징인 사이버 공간 대응을 위해 상황인지가 중요한 요소

• 사이버 공동작전상황도, 전장지도 등 시각화를 통해 직관적 상황인지 능력 제공직관적 상황인지

능력 제공

• 개발된 사이버전 대응기술 등의 효과성 및 실효성 판단 필요

• 국가 차원 사이버전 테스트베드인 사이버훈련장 통해 각종 기술들의 효과성 판단사이버전 대응기술

효과성 보장

• 자위권 차원, 능동적 방어 차원에서 사이버 공격에 대한 고려 필요

• DARPA는 사이버 공격 무기 역시 개발을 추진하고 있는 것으로 추정됨사이버 공격무기

연구

• 급변하는 사이버 공간의 대응을 위해서는 연구개발 역시 신속히 이루어질 필요

• DARPA는 사이버 패스트 트랙을 통해 소규모의 신속한 연구·개발 추진신속한 R&D

추진 체계 운영

오바마 정부의 사이버보안 정책 평가 –R&D : DARPA (2)

/ 2512

미국 사이버보안에서 싱크탱크의 역할 - CSIS

CSIS는 2008년 ’44대 대통령을 위한 사이버보안 정책 제언’을 발간했으며, 이는 오바마 정부의 사이버보안 기조의 기반이 된 것으로 평가

CSIS의 오바마 대통령 정책 제언

국제전략문제연구소(CSIS)는 2008년‘미국 44대 대통령 사이버 보안위원회’를구성하여 오바마 대통령의 사이버보안정책 방향 제언

• ‘종합적인 국가사이버보안전략’ 수립

• 백악관 주도 사이버보안 체계 마련(사이버보안Czar 도입 등)

• 민간과의 협력체계 확보

• (국가기반시설보안 위협 등에 대한) 사이버보안 규제 방안 마련

• 사이버보안 인력에 대한 신원 관리

• 규제당국 환경 현대화

/ 2513

• CIA, FBI, NSA 등으로 분산되어 있던 사이버 보안 기능을 백악관에서통제하고, 보안관련 성과평가를 수행함으로써 사이버 보안정책의 강력한추진력 확보

• 사이버안보 조정관 임명을 통해, 사이버 보안 정책간 우선순위를 조정하고전국가적 차원에서 일관성 있는 보안 정책 및 전략을 추진 할 수 있도록 함

오바마정부의5대사이버보안아젠다오바마정부의5대사이버보안아젠다

미국 사이버보안에서 싱크탱크의 역할 – 사이버보안 아젠다

① 최상위 수준의 리더십 발휘

/ 2514

• 국가 사이버보안을 위해서는 정부망과 민간망 보안을 분리하여 고려하는 것이불가능하다는 인식하에 정부·민간·산업간 협력 및 공동대응 체계 구축 및 각주체의 보안 책임 공유 필요성을 강조함

• 지능화 ·복잡화되는 인터넷 침해사고와 해커의 공격에 효과적으로대응하기 위해서는 실질적이고 긴밀한 협력체계가 필요함을 강조

• 사이버 보안 수준 강화를 위한 근본적 해결방안은 이용자의 인식수준 향상에있음을 인식하고 이를 위한 범국가적 인식제고 사업을 추진함

• 교육 및 산업계와 협조를 통한 일반인 대상 인식제고 사업 추진

• 연방정부 내의 사이버보안 관련 조직 및 인력 강화 추진

미국 사이버보안에서 싱크탱크의 역할 – 사이버보안 아젠다

② 디지털 국가 역량 구축

③ 사이버보안 책임 공유

/ 2515

미국 사이버보안에서 싱크탱크의 역할 – 사이버보안 아젠다

• 효과적인 사이버보안 정책 추진을 위한 R&D정책 및 법제 정비 추진

• 국가 차원의 R&D정책을 통해 프라이버시, 국가차원의 온라인 ID관리 등미래 인터넷 환경에서 발생할 수 있는 사이버 보안 문제 관련 사전 연구 수행

• 사이버보안 관련 연방정부 기관간 또는 민간기관과의 정보 공유 및사고 공동 대응 체계 구축을 통한 사고 예방 및 대응 역량을 강화함

• 백악관이 직접 사이버보안 관련 업무에 대한 통제권을 가지고 진두 지휘

• 다양한 잠재적 사이버 테러 시나리오 작성을 통한 대응체계 구축

④기관간정보공유및사고대응체계구축

⑤혁신촉진

/ 2516

주요 싱크탱크들의 움직임 – 글로벌 싱크탱크 순위

순위 싱크탱크 국가

1 브루킹스 연구소 (Brookings Institution) 미국

2 채텀 하우스 (Chatham House) 영국

3 카네기평화재단 (Carnegie Endowment for International Peace) 미국

4 국제전략문제연구소 (CSIS, Center for Strategic and International Studies) 미국

5 브뤼겔 (Bruegel) 벨기에

6 미 외교협회 (Council on Foreign Relations) 미국

7 국제전략연구소 (IISS, International Institute for Strategic Studies) 영국

8 랜드연구소 (RAND Corporation) 미국

9 우드로윌슨센터 (Woodrow Wilson International Center for Scholars) 미국

10 국제엠네스티 (Amnesty International) 영국

글로벌 주요 싱크탱크 Top 10

자료 : UPENN Scholarly Commons

/ 2517

주요 싱크탱크들의 움직임 – Top 싱크탱크의 사이버보안 연구

글로벌 Top 싱크탱크들은 사이버보안 이슈를 주요 연구 주제로 선정하여정책적 관점, 국제안보 관점, 기술적 관점 등에서 다양하게 연구하고 있음

브루킹스 연구소

채텀하우스

카네기평화재단

국제전략문제연구소

/ 2518

사이버보안 싱크탱크의 요건 – 융합적 역량

사이버보안

법학

심리학

수학

행정학컴퓨터공학

전기·전자공학

경제학

정치외교학

사이버보안은 수학, 컴퓨터공학 중심으로 형성되었으나, 최근에는 정치외교학, 법학 등 인문·사회학이 강조되는 대표적 융합학문 분야로 인식

/ 2519

사이버보안정책센터

2016년 6월 11일, ‘사이버보안정책센터’ 개소

/ 2520

사이버보안정책센터 – 주요 미션과 비전

글로벌 선도사이버보안정책

Think-Tank

현장소통형연구

혁신적융합교육

분야별융합 연구

사회문제해결

글로벌선도연구

글로벌융합인재양성

현장지향∙문제해결형소통연구

글로벌 협력 선도

학문영역간융합, 통섭

미래지향 혁신교육

글로벌 선도 사이버보안정책 싱크탱크를 목표로 현장지향, 글로벌 협력선도, 학문 간 융합 연구, 미래지향 혁신교육 등을 주요 미션으로 선정함

/ 2521

사이버보안정책센터 – 구성

사이버보안 관련 안보, 법·정책, 기업보안, 금융보안 연구 기반 구성

고려대학교 정보보호대학원

사이버안보연구실

사이버법정책연구실

위험관리연구실

개인정보보호연구실

금융보안정책연구실

사이버평화인권연구실

지도교수

임종인지도교수

권헌영지도교수

이경호지도교수

권헌영지도교수

김인석지도교수

백승조

임종인 교수前 대통령 안보 특별 보좌관前 개인정보보호위원회 위원前 한국저작권위원회 위원現 한국정보보호학회 명예회장現 대검찰청 디지털수사자문위원회 위원장

김인석 교수現 FDS 산업포럼회장現 한국 사이버정보전학회 운영위원前 한국정보보호학회 부회장前 금융감독원 IT업무실 부국장

이경호 교수現 국가정보원 정보보안 관리실태 평가위원現 개인정보보호위원회 조사 분석위원前 행정자치부/국방부 정책 자문 위원現 한국정보보호학회 이사

권헌영 교수現 총리소속 정부3.0 추진위 법제특위 위원장現 개인정보 분쟁조정위원회 위원現 한국정보보호학회 법무이사∙개인정보보호연구회장現 방송통신위원회 방송통신규제 심사위원

/ 2522

사이버보안정책센터 – 설립 목적

사이버보안 관련 정책 연구의 필요성과 인력 양성 필요성에 따라분야별 사이버보안 정책연구 기능의 통합 및 융합을 위해 설립

정책연구와

정보보호

정책인력

양성 부족

분야별

사이버보안

정책연구기능의

통합 및 융합

미래 선도

혁신∙융합연구

의 추진기반

마련

정보보호

정책

수요 증대

/ 2523

사이버보안정책센터 – 교육 커리큘럼

관련 연구 역량 확보를 위한 사이버보안 정책 전문 커리큘럼 구성

심화과목

선택과목

전공필수

기획과목

기초공통

선수과목 법과 정책

정보보호법제론

법정책(권헌영) 위험관리(이경호) 사이버안보(임종인) 금융보안(김인석)

사이버법률, 정보보호기술 개론, 정보보호정책학 개론

위험관리 사이버국제법 전자금융보안론

정보보호정책개인정보보호정책

위험관리정보보호관리

사이버안보정책사이버국방정책

금융IT 감사기법전자금융법규

정보보호정책연구(정책연구센터 교수진 + 정책연구네트워크 소속 연구원)

사이버법정책특론사이버법정책세미나

위험관리특론위험관리세미나

사이버안보특론사이버안보세미나

금융보안정책특론금융보안정책세미나

/ 2524

사이버보안정책센터는 주요 정책 및 연구기관들과 함께 MOU, 공동연구 추진 등을 통한 다층적인 협력구조를 만들어나갈 계획

자매연구실보안성분석평가연구실 정형기법연구실해킹대응연구실 임베디드보안연구실사이버국방연구센터 디지털포렌식연구센터 등

협력연구소사이버법센터 아세아문제연구소 법학연구원정부학연구소 한국사회연구소 공공정책연구소일민국제계연구소 평화와민주주의연구소 등

국내협력기관행자부 미래부 국방부 경찰청 NIS KISA NIAKISDI KITRI KIDA 국가보안기술연구소국가안보전략연구소 제주평화연구원 등

해외협력기관CMU CyLab, Harvard Belfer Center, RAND, CSIS, Chatham House, Brookings, ICT 4 Peace, NATO CCDCOE, Atlantic Council, EWI, MITRE 등

사이버보안정책네트워크사이버보안정책네트워크고려대 정보보호대학원 출신 정부부처, 공공기관,기업, 학교, 연구기관 소속 정책연구자들로 구성

사이버보안정책센터 – 연구협력체계 (안)

/ 2525

사이버보안정책센터 – 기대효과

사이버보안정책센터의 기대효과 및 이를 통한 목표

사이버보안Global Think-Tank

역량 통합 교내·외에 분산된 정책연구 자원과 역량 통합과 협력 체계 마련 교내·외에 분산된 정책연구 자원과 역량 통합과 협력 체계 마련

경쟁력 강화 국제안보-국가안보-기업보안 등 다양한 연구 영역 포괄 국제안보-국가안보-기업보안 등 다양한 연구 영역 포괄

영역 확장 국가/공공/기업, 컨설팅/법률자문/법제화 등 다양한 업무영역

포괄로 토털 정책지원서비스 One Stop Shop 국가/공공/기업, 컨설팅/법률자문/법제화 등 다양한 업무영역

포괄로 토털 정책지원서비스 One Stop Shop

대외적 효과 사이버보안정책 연구 역량과 경험을 바탕으로 대한민국을 넘어

아시아, 글로벌 대표 싱크탱크로 자리 매김 사이버보안정책 연구 역량과 경험을 바탕으로 대한민국을 넘어

아시아, 글로벌 대표 싱크탱크로 자리 매김

감 사 합 니 다.jilim@korea.ac.kr